云租户等保合规模式探索

1、云租户等保合规模式探索目录碰到了什么问题买/用哪些安全产品能过等保？过等保要花多少钱？现在还没做等保还来及吗？有什么影响？云上的安全是云平台负责的吧？云服务商能做什么提供等保合规知识传递、完善解决方案。提供更易用、更安全的基础平台。提供符合等保的产品/功能。提供专业的咨询服务。云租户能做什么了解网络安全法、等级保护基本要求。结合业务需求与ROI、应用云服务商的产品/方案。参照合规要求、拥抱新技术、不断提升安全保障 能力助力业务发展。等级测评结论与判断依据|基本要求权重表|综合得分计算公式|测评结论判定表|云计算测评结论表划重点|测评结果及格分数为70分。|测评结果有“优”、“良”、“中”、“差

2、”四个等级。|存在高风险安全问题则直接判定等级测评结论为“差”。|存在中风险安全问题则无法获得等级测评结论为“优”。云计算安全等保扩展要求云计算安全等 级保护基本要 求安全通用要求技术要求管理要求云计算安全扩 展要求云计算平台自 身安全要求云计算平台提 供租户的安全 服务能力要求针对租户的安 全要求等级保护合规流程及推荐配置技术要求部分控制点概述推荐产品等保二级等保三级安全通信网络应划分不同的网络区域，网络区域与其他网络区域之间应采取可靠的技术隔离手段。VPC、ACL、安全组平台自带平台自带应采用效验技术、密码技术保证通信过程中数据的完整性和保密生。SSL证书在网络边界处应部署入侵防范和恶意代

3、码检测机制，防御并记录入侵行为。WAF安全区域边界对网络中的用户行为日志和安全事件信息进行记录和审计。WAF全量日志审计在内外网的安全区域边界设置访问控制策略，并防止或限制从外部/内部发起的网络攻击行护DDOS为，记录并报警。应启用安全审计功能，对用户行为和安全时间进行审计。数据库审计应能发现可能存在的已知漏洞，在经过充分评估后及时修补漏洞。漏洞扫描安全计算环境应能检测到入侵行为，并能对恶意代码进行防范，提供报警并有效阻断。主机安全应采用密码技术保证重要数据在传输和存储过程中的保密性。KMS应仅采取和保存业务必需的用户个人信息，禁止未授权访问和非法使用用户个人信息。数据脱敏安全管理中心应支持多

4、因素身份认证，只允许通过特定的命令和界面进行管理操作并进行审计。堡垒机对分散的设备、组件、主机以及安全策略、事件等进行集中管理、审计、报警和分析。安全运营中心“个中、三重防护”合规推荐产品配置/solution/gradedprotection等保合规流程及各职责/solution/gradedprotection用户层安全区域边界安全计算环境安全安全管理中心通信 网络 安全用户 安全用户 安全安全管理系统 管理安全 管理安全 审计集中 管控访问层安 全网络 访问入侵 防御API接口WEB服务安全 审计可信 验证云服务层overlay云资源层underlay 资源抽象控制层安全基础设施与网络安

5、全 物理与环境安全网络和主机安全访问控制安全审计身份鉴别可信验证业务安全数据安全云平台安全设计框架云安全责任边界/services/security网络安全等级保护基本要求(GB/T 22239-2019)自顶向下设计的安全合规和运营体系全栈安全基础架构与可信计算数据安全中台数据产生和获取Data at RestData in TransitData in Use数据退役和销毁数据合规和治理数据访问监控和响应难点1：分类、治理和策略难点2：DaR/DiT/DiU加密技术难点4：事件监测分析难点3：密钥管理Data-at-RestData-in-UseData-in-Transit存储加密(卷/

6、对象/文件)访问控制数据退役和安全擦除备份安全云服务商SOD安全计算(同态加 密、多方计算、差 分隐私)安全计算环境(TPM、TEE)加密算法隐私保护算法传输加密身份验证传输抗抵赖性边界安全数据重定位数据外包安全云服务商流程和审计计算环境隔离数据安全中台数据安全 能力中台HSM/SEM数据加密软硬件服务KMS密钥管理系统Secrets Manager凭据管理系统SparklingSnova数据获取Data Ingestion and SourcingCKafkaCMQRedisAPIStreamBIEMRTIMongoDBES 事务处理和检索 Transaction, Catalog, Sea

7、rchPostgresqlMYSQLTDSQLTDSQL 分析与数据服务 Analysis, Intelligence, ServingCFSAPICOSCBSCVMVPN 数据访问与消费 Data Access and Consume原始数据归一智能分析决策与反馈数据安全能力中台服务身份认证 秘钥管理应用加密网 络 加 密 计 算 加 密凭据托管 日志审计 可视化管理| 全数据生命周期支持、完整的云产品生态集成、国密与FIPS标准全数据生命周期支持完整的云产品生态集成随取随用的加密API或SDK服务数据安全中台| 腾讯云数据安全能力中台，提供极简的加密API或SDK服务管 控 层中 间 件

8、层产 品 层接 入 层GVSMSVSMEVSMCloudHSM密码服务实例SEMSEM软件加密库SDK密码资源统一监控密码资源统一管理密码资源动态调配业务调用统计分析告警策略管理日志审计管理密钥生命周期管理Secrets Manager加密基础组件COSCBSTDSQL数字签名验证服务CA证书服务物联网加密服务专用密码应用组件数据库加密CASB服务客户侧加密组件TLS/SSL加密组件传输加密统一密码应用接入服务（加密应用API、SDK）CMQ运 算 层SGXSGXSGX / TEE安全计算环境MYSQL互联网、政务、金融、行业业务系统云上安全运营中心数据提取、清洗、标准化，构建云上安全数据湖资

9、产数据 云操作行为数据 云配置数据DDoS数据 WAF数据 云镜数据基于规则的安全分析引擎AI&ML辅助分析引擎资产 安全攻击面 测绘应急漏洞云安全配置管理合规 管理安全事件管理UBA处置 建议安全 编排日志 审计调查 溯源整体安全 评分安全态势仪表 盘整体安全 大屏事前安全预防事中事件监测与威胁检测事后响应处置主机安全 大屏网络安全大屏数据层分析层功能层可视层流量威 胁感知安全预防：防患于未然，提升安全水位事件监测与威胁检测：全面覆盖、统一运营响应处置：高效及时应对安全风险与威胁安全可视：直观呈现安全态势与建设成果CLB日志CDB日志DevSecOps持续管理项目管理需求/任务管理缺陷管理迭

10、代/版本管理测试管理源代码管理制品管理资源和文档管理构建环境权限中心凭据管理持续集成流水线管理代码拉取单元测试报告收集代码检查/脚本执行构建/打包编译加速/App签名质量关卡容器镜像构建制品归档第三方工具集成持续运维自动扩缩容故障自愈监控告警服务治理作业平台日志分析项目经理产品经理业务部门架构师测试团队开发测试运维持续发布虚拟机发布容器发布容器平台CMDB/环境、配置管理自动化发布工具灰度发布、蓝绿发布持续测试接口测试集成测试性能测试UI自动化测试安全漏洞测试Mock服务测试数据工厂持续度量交付KPI质量KPI效能KPI腾 讯 蓝 鲸DevOps解 决 方 案安全编码规则 静态代码扫描安全意识

11、培训安全开发培训安全运维 威胁响应攻击面分析 威胁建模合规性分析安全测试培训 风险评估动态代码扫 描 渗透测试安全发布 标准安全 设置安全意识需求发布设计开发测试部署响应ServerlessFunctionsApplicationsRuntimeContainersO/SVirtualizationHardwarePhysical MachineCustomerVenderVirtual MachineFunctionsApplicationsRuntimeContainersO/SVirtualizationHardwareContainerFunctionsApplicationsRunt

12、imeContainersO/SVirtualizationHardwareServerlessFunctionsApplicationsRuntimeContainersO/SVirtualizationHardware聚焦业务，快速迭代，提高产品竞争力云计算：去基础架构的过程Serverless 符合云计算发展的方向企业CSO视角安全专家服务能力安全服务专家安全服务内容安全服务运营业务全生命周 期安全保障外部安全信息内部安全信息 威胁与风险信息（阻断-检测-响应-预防）现场值守专家腾讯安全专家顾问团行业安全专家团人工服务+工具辅助上线前风险与漏洞检测日常安全运维与威胁监测应急响应与安全演练

13、安全咨询与持续改进漏洞 扫描基线 检查上线 检测渗透 测试应急 响应代码 审计安全 值守安全 咨询等保 咨询风险 评估攻防：Defense情报：Intelligence管理：Effective Management规划 ：Advanced Planning实时、快速识别安全风险的能力先进的攻防技术人才、经验和能力高效、有效管理信息资产安全的能力对未来新业务场景下安全挑战的前瞻能力腾讯安全战略观IDEA模型步骤最佳实践实施方法腾讯安全专家服务1明确驱动因素了解有哪些驱动因素（外因、内因）安全咨询、合规咨询2定义问题通过调研、咨询明确到了什么程度安全咨询、安全培训3定义路线通过调研、咨询明确要达到什么目标安全咨询、安全培训4计划方案参照行业最佳实践，确定要完成什么行动安全咨询（最佳实践方案）5执行计划通过咨询服务或采购专业的产品与服务形成解决方案与实施计划安全集成、专项安全服务6实现效益通过项目实施展现是否实现计划安全集成7审查有效性通过内、